Checkmarx Zero が、Vite エコシステムを狙う悪意ある scoped npm パッケージ 7 本を ViteVenom として特定した。いずれも bin/vite.js に同一のローダーがあり、Tron・Aptos・Binance Smart Chain を介するブロックチェーン C2 から 77KB の RAT を取得する。先行の ChainVeil と Tier-2 ウォレットおよび XOR 鍵を共有し、パッケージ側は 7 月初旬に npm へ報告・取り下げられたが、C2 自体は稼働が続いている。

影響パッケージと悪意ある版は次のとおり。合計ダウンロードは約 2,420。正当な Vite 公式は @vitejs/* であり、@vitets/* は @vitest に一字近い偽スコープである。

  • @uw010010/vite-tree 3.4.2 / 3.4.3 / 3.6.1（3.4.1 と 8.1.0 はクリーン）
  • @vite-tab/tab 3.15.10
  • @vite-ln/build-ts 5.15.10
  • @vite-mcp/vite-type 6.44.1
  • @vite-pro/vite-ui 2.5.10
  • @vitets/vite-ts 1.5.10
  • @vite-ts/vite-ui 6.44.1

マルウェアはインストール時ではなく import 時に起動し、逆シェル・資格情報窃取・ファイル持ち出し・永続化が可能である。該当依存がある場合の対処は次のとおり。

  • 上記パッケージを全プロジェクトと lockfile から削除する
  • 切り離された node -e プロセスを終了する
  • .bashrc / .zshrc / .profile の異常な追記を点検する
  • SSH 鍵・npm トークン・クラウド資格情報などをローテーションする
  • C2（198.105.127.210、166.88.54.158、23.27.202.27）をネットワーク遮断する

#参考文献